Creo que no hace falta explicar mucho qué es Pokémon Go por la locura colectiva que supuso de gente caminando mientras apuntaba a algo que no existía en el plano de la calle (estampa parecida a la que dejaron los «buzos» de las Vision Pro). Una locura que desde la protección de datos siempre fue un triple muy largo desde medio campo, pero que desde otras especialidades del derecho fue igualmente problemático: muertes, atropellos y las consecuencias derivadas de meterse en el jardín de alguien a cazar un Metapod vía realidad aumentada (sobre todo en Estados Unidos).
Se nos había olvidado un poco a todos, pero ha vuelto en forma del otro triple desde medio campo de moda: vamos a usar vuestros datos para entrenamiento de IA, pero con la gracia de ser información de geolocalización, o sea, de la que la anonimización se pone todavía más complicada (como si no lo fuera siempre).
El invento lo llama Niantic (desarrolladora de Pokémon GO): “Large Geospatial Model” o “LGM”, y este artículo busca comentar el tema desde la parte de protección de datos. Ya tengo bastante con haberme sometido a Pokémon Sleep (en forma de denuncia, o en formato podcast en Ivoox, Spotify, YouTube o Apple) así que lo aquí se diga no se basa en haberlo “disfrutado” como jugador, sino trasteando con la información y documentación alcance. Es bastante posible que para 2025 algo pase con el famoso “Nintendo Alarmo” (sí, ese despertador carísimo que parece que viene con un perfilado del patrón del sueño del estilo a Sleep).
Estaría bien que muchas empresas se pararan a pensar de verdad en la parte de ética de la inteligencia artificial. El momento de que yo me hago un OpenAI y luego lo voy arreglando según vengan las sanciones y problemas, ya debería cosa del pasado muy pasado. Tenemos a WorldCoin como gran ejemplo, también.
Vamos al tema. No va a ser un artículo muy corto, pero tampoco de esos largos o muy de ir al detalle del detalle. Que se note que había ganas de volver a publicar en el blog, pero con el punto de que empezamos a estar en feliz navidad y felices fiestas.
1) ¿Qué es lo que quiere hacer Pokémon GO con IA: el Large Geospatial Model?
Todos empezamos a tener algo claro que es un “Large Language Model” o “LLM” (bueno, a nivel de jurista y sin que miren mucho los especialistas y gente técnica de IA), pero ¿qué es este “Large Geospatial Model” o “LGM” de Pokémon GO?.
Los ejemplos más socorridos del uso de datos de geolocalización con posibilidad de IA tienen finalidades o aplicaciones tan de interés público en sentido totalmente estricto que ojalá todo fuera así:
- Predicción, gestión o monitorización de desastres naturales;
- Predicción gestión y monitorización del suelo cultivables para optimizar la producción;
- Planificación urbana: diseño de infraestructuras y monitoreo del crecimiento urbano; o
- Defensa y seguridad: cosas que hacen los estados que mejor no queremos saber. Que ya asustaba aquello del grupo privado de Snapchat de un británico con broma pesada de atentando en avión, y el subsiguiente envío de cazas españoles por haberlo interceptado/trasladado a autoridades españolas su servicio de inteligencia (el británico estaba utilizada la wifi pública del aeropuerto).
Niantic lo intenta explicar en su información de seudoautobombo, pero queda más claro si decimos que es un modelo de inteligencia artificial que procesa y analiza datos “georreferenciados” (mapas, imágenes satelitales, información climática o de sensores remotos) para crear un Google Maps 2.0 en 3D. Usar las imágenes de los ángulos que ya tiene de los usuarios para que el sistema aprenda a inferir los restantes/genera una imagen 3D.
Niantic lo ejemplifica con una iglesia:
“Imagínese que se encuentra detrás de una iglesia. Supongamos que el modelo local más cercano sólo ha visto la entrada delantera de esa iglesia y, por tanto, no podrá decirle dónde se encuentra. El modelo nunca ha visto la parte trasera de ese edificio. Pero a escala mundial, hemos visto muchas iglesias, miles de ellas, todas captadas por sus respectivos modelos locales en otros lugares del mundo. Ninguna iglesia es igual, pero muchas comparten características comunes. Una LGM es una forma de acceder a ese conocimiento distribuido.”
A efectos de hacernos una panorámica de este tema, podríamos dividirlo en fases consecutivas:
- Sistema de Posicionamiento Visual (VPS): el sistema original de tratamiento y posicionamiento geolocalizado del dispositivo que forma la funcionalidad y el núcleo jugable principal de Pokémon GO, con un margen de precisión “centimétrica” (lo ideal para lo datero). En lo que nos interesa, el conjunto de datos o “dataset” original y principal de este tema.
Este sistema tiene una funcionalidad secundaria que todo jugador habrá activado: el escaneo de poképaradas: recopila información mientras estás apuntando e interactuando/escaneando con “este sitio de interés”. Han tenido en cuenta que para menores nada de nada (no vamos a volver a entrar en el tema de que eso sólo funciona si el menor ha decido no mentir al principio, o que tienes padres o tutores que saben lo que hace), pero se limita a los jugadores de verdad: aquellos que haya llegado al nivel 20, es decir, que han demostrado que van a seguir generando datos consistentemente/que les sirve de filtro para depurar la calidad de los datos.
¿Qué datos va a recabar este sistema de VPS?: imagen, latitud, longitud y altitud del GPS, acelerómetro, giroscopio e imagen en 3D de alta resolución de los alrededores del móvil si tiene el sensor “LiDAR” (la versión miniaturizada del enorme desplegable que vemos cuando miden por la calle alguna cosa, parecer ser).
En otro documento informativo por ahí en la telaraña (Lightship VPS), nos muestran dos imágenes que nos permite ver claro este rango de lo que capta alrededor y la imagen de lo que capturas.
- Pikmin Bloom e Ingress: podríamos pasar por alto estas fuentes alternativas, pero al mencionarse en su política de privacidad tiene mucha pinta de que se van a meter en la coctelera sus datos de origen (sobre todo, si el jugador también le da a estas dos). Son las versiones de las Poképaradas, pero con otros dos juegos de Niantic no relacionados con Pokémon: Los “champiñones» de Pikmin (Sí, bichejos de Nintendo) y los portales de Ingress (una especie de juego de facciones por el control del ¿mundo?);
- Scaniverse: una aplicación secundaria de Niantic no relacionado con Pokémon GO que tiene pinta de ser como aquellas de Google de sube tu imagen y te saco el cuadro al que te pareces/entréname gratis el algoritmo. La funcionalidad que ofrece gratis es la de que subas imágenes reales de lo que captures con la cámara para generar un modelo 3D del objeto filmado;
- Fase de prueba inicial: una 1ª aproximación o fase de prueba inicial con una selección de los datos anteriores para que una red neuronal llamada Mickey haga lo suyo. Viene con un paper a juego (Matching 2D Images in 3D: Metric Relative Pose from Metric Correspondences”) de esos más técnicos que otra cosa, pero que nos permite poner en aquí en una imagen aquello que decía de la iglesia, aka lo que quieren conseguir; y
- Large Geospatial Model: la propia creación del modelo y fase en la que nos encontramos.
2) ¿Qué pasa desde el lado de protección de datos?
Un poco lo de siempre de las dudas habituales en los tratamientos secundarios o basados en IA: legitimación, finalidad y fines secundarios, información suficiente, evaluaciones de impacto y anonimizaciones que puede no sea tanto.
Legitimación y finalidad principal
Son dos elementos distintos, pero se suelen entender mejor junto con la necesaria correlación que tienen. Bueno, también es recomendable que en la información al interesado se le muestren de manera conjunta para darle el contexto suficiente por cada tratamiento.
En cuestión de finalidad, en el sentido clásico del EDPB de entender verdaderamente qué se quiere hacer con el dato del interesado, pues no sería de las que aguantaría mucho un análisis de claridad, especificación y concisión por lo expuesto en su política de privacidad.
“Nuestros juegos y aplicaciones incluyen funciones innovadoras que le permiten a usted y a otros jugadores ver e interactuar con los mismos objetos virtuales al mismo tiempo en un espacio físico compartido. También le permiten dejar objetos virtuales persistentes en ubicaciones del mundo real, para que otros jugadores puedan verlos, aunque usted no esté allí, y para que usted pueda verlos cuando vuelva. Para poder ofrecerle estas experiencias de RA, Niantic necesita recopilar datos geoespaciales e imágenes de la cámara y los sensores de su dispositivo durante sus experiencias de RA. Consulte nuestro Centro de ayuda para obtener más información sobre las experiencias de RA y la Privacidad”
En la propia política, lo único que nos está intentando especificar, es que el tratamiento de datos geoespaciales lo va a hacer literalmente para prestar el servicio de juego geolocalización que nos prestar como jugadores, es decir, que se va a colgar de la base de la ejecución del contrato.
En una de archivo del 2018 de la AEPD por el mismo Pokémon GO fueron al hecho de la revelación de tus datos de geolocalización a otros jugadores, pero se archivó porque el tiro iba a por los jugadores que falseaban los propios + que Niantic prometió medidas de seguridad y tres toques de advertencia a fraudulentos. A ver qué hubiera pasado si van a por legitimación, LIAs y PIA, pero el punto es que nos apuntala la misma declaración en este sentido.
No es de lo que estamos hablando aquí, ya que esta es la finalidad principal que todos tenemos desde siempre claro, pero nada se nos dice de ningún fin secundario de entrenamiento de IA o nada por el estilo. Para llegar a información sobre este entrenamiento de IA, tenemos que ir al documento de autobombo explicatorio que enlazaba al principio:
“Utilizamos escaneos de lugares públicos del mundo real aportados por los jugadores para construir nuestro Gran Modelo Geoespacial. Esta función de escaneado es completamente opcional. hacer clic para escanear. Esto permite a Niantic ofrecer nuevos tipos de experiencias de RA para que la gente las disfrute. disfrutar. El mero hecho de pasear por nuestros juegos no entrena un modelo de IA. de inteligencia artificial.”
Fines secundarios y compatibilidad
Visto este fragmento del documento de ayuda, tocaría mencionar el punto que no se suele ver tanto de las finalidades secundarias que sean compatibles con las principales e informadas al interesado. El tema de si es compatible o no hay que valorarlo desde el artículo 6.4 del RGPD con su juicio: relación entre el fin declarado y el posterior, contexto de la recogida y relación entre responsable e interesado, naturaleza de los datos, consecuencia del tratamiento secundario y si hay garantías adecuadas.
En el último fragmento del documento de autobombo ya hemos visto que lo quieren llevar por consentimiento, o sea, que se cargan el poder acudir al 6.4 (el tema es suficiente divertido como para ir por consentimiento, pero no casa con que haya usado ya los datos). Con ayuda del caso de referencia: C‑77/21 – Caso DIGI vamos a hacer la ficción de que intentan ir por el 6.4.
- Fin declarado y fin posterior: no podría no decirse que no exista una relación concreta, lógica y suficientemente estrecha, pero sobre el punto de las legítimas expectativas ya sería harina de otro costal. Teniendo presente que la expectativa se requiere que sea algo que el propio interesado infiera sin necesidad de explicación o indicación externa.
La que lo dice es la versión de autobombo del documento explicativo fechado hace un mes, porque no puede pretenderse que la expectativa informada de hacer eones en la política de Si usted elige ayudar a Niantic en sus esfuerzos por desarrollar una nueva tecnología de mapeo de realidad aumentada (RA)” lleve a nadie a pensar en IA. Los cajones de IA, realidad virtual y aumentada para los profanos son cosas distintas. Además del hecho de que la política de privacidad es el documento legal que informa de protección de datos, ergo, incluirlo en documento o enlaces de otro tipo no ayuda a no cascar por deber de información;
- Contexto de la recogida y relación entre responsable e interesado: la relación entre las partes no está sometida a un desequilibrio mortal como el laboral, pero el jugador sigue siendo un usuario y consumidor protegido por la normativa más estricta que toca. El contexto del tratamiento, aunque fuera una idea primigenia de alguien con una mente maravillosa en Niantic, ha cambiado drásticamente con la venida de la IA más accesible y potente. La redacción se nota que fue puesta para poder decir que cualquier cosa podría caber, pero no quita este hecho de que se ha optado por no hacer un desarrollo más “tradicional” del ámbito de realidad aumentada;
- Naturaleza de los datos: no se puede decir que los datos de geolocalización sean del tipo de categoría especial de artículo 9 del RGPD, pero sí podrían entrar en el concepto más amplio que vemos a nivel de brechas de seguridad de “datos sensibles”. Se suele utilizar como un sinónimo de lo primero, pero hace referencia a esa mayor peligrosidad o riesgos que pueden tener determinados datos personales “ordinarios” según qué combinaciones o contextos.
El gran ejemplo es de los datos bancarios con acceso a identificativos suficientes para poder causar algún problema al interesado, pero ¿los datos de geolocalización en el mundo real del interesado no pueden desplegar una panoplia de riesgos para los derechos y el propio interesado de mil formas?
O, acordémonos de aquel caso de la base militar secreta de Estados Unidos que se supo que existía por el rastro de las pulseras tipo wereable de los soldados entrenando o corriendo por la zona;
- Consecuencias y garantías adecuadas: la principal sería una anonimización en sentido estricto/el principio de minimización aplicado de no tener identificado al interesado más de lo que fuera necesario (también lo recuerda Digi). Niantic lo sabe y nos promete lo siguiente en la política:
“No recogemos audio en estas grabaciones. Anonimizaremos esta información a través de varios medios, incluyendo el difuminado, y la usaremos para construir un entendimiento 3D de lugares del mundo real, con el objetivo de ofrecer nuevos tipos de experiencias de RA a nuestros usuarios. Puede cambiar de opinión en cualquier momento desactivando esta función en su configuración dentro de la app.”
Nos añade como garantía, más pensada en la calidad de los datos su modelo, que descartarán lo que no salga bien o no sea exterior:
“el sistema comprueba que las condiciones de iluminación eran lo suficientemente buenas para ver las imágenes con claridad, que la cámara no estaba cubierta y oscurecía la imagen, y que la cámara no estaba apuntando al suelo o desenfocada, y filtra las imágenes que parecen tomadas en interiores”.
Origen de los datos
El anuncio ha asustado por el clima de todo vale de multinacionales anunciando entrenamiento de IA, pero lo que más es la sensación de que a los jugadores les han colado durante 5 años una recopilación de datos no informada ni legitimada debidamente. Nos centramos mucho en la legitimación de lo que vemos, pero para que sea legal también los datos de origen tiene que estas legitimados. La típica de la IA y casi de cualquier comunicación comercial de datos de contacto sacados de «fuentes de acceso público”.
En la política brilla por su ausencia, así que una vez más nos toca al ir al documento de autobombo explicativo. Lo de los cincos años, pero matizado con “información de posicionamiento adjunta” y a “diferentes horas del día” acojona por sí sólo. Seguro que viene un interés legítimo a toro pasado de alguna manera.
“Como parte del Sistema de Posicionamiento Visual (VPS) de Niantic, hemos entrenado más de 50 millones de redes neuronales, con más de 150 billones de parámetros, que permiten operar en más de un millón de lugares. En nuestra visión de un Gran Modelo Geoespacial (LGM), cada una de estas redes locales contribuiría a un gran modelo global, implementando una comprensión compartida de las ubicaciones geográficas y comprendiendo lugares que aún no han sido completamente escaneados.”
“En los últimos cinco años, Niantic se ha centrado en construir nuestro Sistema de Posicionamiento Visual (VPS), que utiliza una sola imagen de un teléfono para determinar su posición y orientación mediante un mapa 3D construido a partir de personas que escanean lugares interesantes en nuestros juegos y Scaniverse.”
“El VPS de Niantic se construye a partir de escaneos de usuarios, tomados desde diferentes perspectivas y a distintas horas del día, en muchos momentos a lo largo de los años, y con información de posicionamiento adjunta, lo que crea una comprensión muy detallada del mundo. Estos datos son únicos porque se toman desde una perspectiva peatonal e incluyen lugares inaccesibles para los coches.”
Anonimización de datos de geolocalización: la verdadera Excalibur en la roca
Niantic no intenta negar la mayor de que al anonimizar no sería un tratamiento de datos personales. Después de que el Garante italiano lo dijera en el 2017, otra mil veces otras autoridades o el ICO británico en sus directrices sobre anonimización, seudonimización y PETS, pues sería muy cantoso.
El gran problema es la dificultad intrínseca declarada que supone anonimizar o disociar este tipo de información. Como nos recuerdan los alemanes en su “Documento de posición para la anonimización bajo el RGPD con especial consideración del sector de las telecomunicaciones”, de 29 de junio de 2020, la anonimización que no permita de modo alguno reidentificar a la persona en teleco/geolocalización es prácticamente imposible. También se pusieron en el mismo plan en estas diapositivas socorridas de la autoridad neerlandesa: los humanos somos de demasiadas costumbres para no haber hilos de los que tirar, y que los ataques de fuerza bruta específico no son tan caros (hacen un ejemplo cuantificado)
Es cierto que a efectos del RGPD la pauta es que no se pueda volver a reidentificar a la persona son recurrir a esfuerzos o medios desproporcionados. El tema es que Niantic no lo tendría muy difícil para reidentificar y tiene algún medio que otro, pero ¿qué nos dicen que implementan para lograrlo? Lo que se ve en la imagen de antes:
“se anonimiza automáticamente una vez cargado en nuestros servidores seguros, lo que incluye medidas de privacidad adicionales como difuminar objetos potencialmente reconocibles como caras o matrículas.”
¿La técnica de difuminación es suficiente? No es que tenga mucha buena fama por algunos que han conseguido revertirlo, pero parece una referencia más general que especifica sobre cómo van a conseguir que se disocien los datos de geolocalización de cada personita para romper esa “exactitud centimétrica” que comentábamos antes.
Vamos a desempolvar documentos interesantes de la época del COVID. ¿en qué otro momento se ha intentado meter tanta app y sistema de localización?. El EDPB en sus Directrices 04/2020 sobre datos de localización y rastreo Covid nos recuerda que la anonimización implica realizar una prueba de razonabilidad de tres criterios: ´
- Singularización: identificación de una persona dentro de un grupo mayor sobre la base de los datos;
- Vinculación: combinación o asociación de dos registros de datos sobre la misma persona; e
- Inferencia: deducción, con una probabilidad significativa, de información desconocida sobre una persona).
Por si lo que decían los neerlandeses y alemanes no fuera suficiente, el EDPB va un paso más allá con tres literales de entre el punto 18 y el 22 de este documento:
“No se pueden anonimizar datos aislados, es decir, solo se pueden anonimizar (o no) series de datos completas. En este sentido, toda intervención en un patrón de datos único (mediante cifrado o cualquier otra transformación matemática) puede calificarse como máximo de seudonimización.”.
“De hecho, un amplio corpus de investigación revela la existencia de datos que se creían anonimizados y que en la práctica podrían no estarlo. Los rastros de los movimientos de las personas están de forma intrínseca muy relacionados entre sí y son únicos. Por tanto, en determinadas circunstancias pueden ser vulnerables a los intentos de reidentificación”.
“Un patrón de datos único que rastree la localización de una persona durante un período de tiempo significativo no puede ser anonimizado por completo. Esta consideración posiblemente siga siendo válida si la precisión de las coordenadas geográficas registradas no se reduce en una medida suficiente, o si se suprimen los pormenores del itinerario, e incluso si solo se retiene la localización de los lugares en los que el interesado permanece durante cantidades importantes de tiempo. Lo mismo sucede con los datos de localización mal agregados.”
Cesión a terceros y PIA
Todo lo que tiene Niantic es bien jugoso para miles de empresas. Reconocen la cesión de datos a entidades de “análisis del sector y mercado de manera disociada”, pero sorprende que digan que sólo se ceden a “socios editores” con fines de marketing directo vía consentimiento previo del interesado. Esperemos que esa referencia a marketing directo/publicidad personalizada se entienda en términos de la Directiva e-privacy y el TJUE.
Tampoco tenemos información suficiente para llegar a ver si tendríamos algún tipo de cesión para entrenamiento de modelo de terceros o historias similares. Son datos de origen muy jugosos y “curados” como para que no lleguen las proposiciones a Niantic con mucho dinero colgado bajo el brazo.
En todo caso, no estaría mal recordar que el ICO recomienda suscribir un contrato específico de cesión. Muy basado en el tenor del de encargado de tratamiento, pero con el intento de cubrir esta relación entre responsables que se queda un poco en el aire a nivel de RGPD.
De si toca evaluación de impacto o no, pues muy obvio que sip. Del famoso listado de la AEPD entra a vuela pluma por la de tratamiento de geolocalización de forma sistemática y centimétrica (perdón, es que es potente: exhaustiva) o gran escala. Hay más posibles, pero con dos ya tienes invitación a la fiesta. Sin más hasta que un día tengamos más chicha y podamos comentarlo.
3) ¿Qué pasa desde el futuro Reglamento de inteligencia artificial (RIA)?
El gran temazo del año, del siguiente y del siguiente del siguiente. Es indudable que encaja en el concepto de IA del propio y flamante Reglamento de IA, pero no encajar en las prácticas prohibidas del artículo 5 y las de alto riesgo del artículo 6.
Puede que cuando tengamos más información sea interesante también hacer uno más cortito sobre el tema, pero lo más útil en este punto para el que ha llegado aquí son tres cositas:
- Calendario de las distintas entradas en vigor de cada parte del RIA. Poca broma con la entrada escalonada;
- Seguir y leer lo que escribe una verdadera especialista de estos temas de IA: Sara Domingo. Por ejemplo, uno en Citizen8; y
- Pasarte por el blog de Jorge García Herrero para leer los posts sobre IA y RGPD que van poniendo. Y puede que pinchar en la pestaña de formación de IA y RGPD en la que confluyen los dos nombres :).
Y telón, que ya ha sido mucho para la época en la que estamos. Felices turrones a todos, que poca broma con la locura de sabores, combinaciones y precios que habemus en esto.